Wireshark使用

简介

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

相关学习网站：
https://www.wireshark.org/
https://wiki.wireshark.org/
https://wiki.wireshark.org/


基本的抓包原理

网络原理：
本机环境：直接抓包本机网卡进出流量
交换机环境：端口镜像( span技术)、ARP欺骗、MAC泛洪

底层原理：

GTK1/2：处理用户的输入输出显示，源码在gtk目录。
Core：核心模块，通过函数调用将其他模块连接在一起，源码在根目录。
Wiretap：从文件中读取数据包，支持多种文件格式，源码在wiretap目录。
Capture：捕包引擎，利用libpcap/WinPcap从底层抓取网络数据包，libpcap/WinPcap提供了通用的抓包接口，能从不同类型的网络接口(包括以太网，令牌环网，ATM网等)获取数据包。
Win-/libpcap：Wireshark抓包时依赖的库文件

选择抓包网卡

列设置

添加列

删除和隐藏列

编辑列

时间设置

设置时间参考

名字解析

方式2：